■原题：四大层面，复盘宇视安防系统防护实践方法论
一个成熟的安防系统基本涵括四大层面风险：感知层、传输层、管理层及应用层。
感知层主要面临的问题是感知设备有可能被劫持；传输层大概率会受到“私接”网络、DDOS等攻击；管理层（平台服务层）可能会遭遇非法入侵，数据被窃；应用层则可能会受到黑客对PC机或应用设备的攻击。
针对上述四大问题，宇视安全&网络解决方案总工王连朝做客雷锋网公开课，并详述了宇视在安防系统安全层面的实践、思考。
他提到，未来的安防系统构建需要从终端、传输、服务平台到用户，做全方位的安全防护措施。
5G、AI、区块链及量子计算等新技术的交错融合，会极大促进安全系统在安防系统中的正向应用。
同时，建设安全的安防解决方案，构建全方位立体防护体系，需要对业务和应用具有深刻的理解，同时运用各种前沿技术不断完善自己的网络安全防御体系。
以下为王连朝全部分享内容，雷锋网AI掘金志做了不改变原意的整理及编辑。
浙江宇视科技有限公司成立于2011年，一直是安防IP化的倡导者，也走在了IP网络监控的前列。
宇视经过了8年的历程，实现了营收16倍的增长，交付的产品已经覆盖了全世界的145个国家和地区。这段时间整个公司的成长也是比较快，2014年我们就进入了全球Top12，2018年进入全球前四。
公司在技术上得过一些重要的奖项。2010年获得了国家科技进步二等奖；雷锋网(公众号：雷锋网)2019年度AIoT智能城市创新企业奖。
在研发团队方面，我们无论是软件还是硬件实力在业内都是比较领先的水平。软件在业内达到了CMMI 5级认证，这是安防业界最高水平。
在创新能力上，我们是国家知识产权的示范企业；浙江省发明专利授权量50强，排名第二。我们现在有2000多件专利申请，几乎每天新增1件发明专利申请，其中94%的发明专利授权率业界第一，人均发明专业业界第一。
宇视对视频的安全比较重视，在安全方面做了很多实践。
我们在2011年就拿到了中国专利优秀奖：广域互联安全UNP； 成立安全实验室。在此之后宇视一直在做视频安全研究，比如高安全的存储、高安全的传输和社会资源的接入等这些方案。2016年发布了燕山准入网络安全方案；2017年推出了数据安全加密幻影方案，保障了金砖峰会；2019年成为了公共安全视频网络安全的监测预警的支撑单位；安防行业内首家符合欧盟GDRP法案等等。
物联网及物联网的基本架构
随着科技不断的创新发展，物联网技术和相关的大数据、智能应用广泛地与传统安防应用深度融合。物联网+安防系统在普遍应用的同时，安全问题也随之而来。
从20世纪90年代物联网的概念提出来，到现在经过了近30年的实践和发展，大家对物联网的认识已经比较深刻了。
根据ITU的定义，物联网是一种通过射频识别（RFID）、红外感应器，定位系统等信息传感设备，按照一定的约定协议，让物体与互联网相连接，进行信息的交换和通讯，以实现对物体的智能化识别、定位、跟踪、监控和管理的网络。
总而言之，物联网是一种网，它在应用中实际上也更多的与现在大数据技术和智能技术相结合，是新一代信息技术的高度集成和综合运用，所以物联网也被称为信息科技产业的第三次革命。
物联网的基本结构，从下往上我们可以认为是三个层级。
最下面叫做感知层或叫数据获取层，就是通过传感设备进行数据的获取。因为这里获取的数据是物理存在的，所以数据是比较真实的，也比人工获取更便捷，这也是物联网现在应用比较广泛的一个原因。
在数据获取之后，要做一些简单的数据预处理，经过数据预处理之后，会将这些数据通过传输层进行传输。
中间叫传输层，在进行传输时，就要考虑到异构网的融合，需要将ZigBee、Lora、WiFi等技术与有线网络、无线网络，以及5G等下一代网络相融合，形成高效、稳定的传输网络。
通过传输网络之后，这些数据会送到应用层。应用层可以分为两个部分。一部分是基础服务平台，基础服务平台对数据进行接收和处理。在这个基础服务平台之上，就是应用层，现在大家比较熟知的像智能家居、环境监测、智能交通，还有智能安防等应用。
现在各地都在进行智慧城市的建设，其实物联网就是智慧城市的基础。作为物联传感过程的重要部分，摄像机视频数据信息，占据了全世界约一半的数据存储量。智能安防是物联网产业的核心组成部分，所以安防系统有力的促进物联网应用的快速落地和推广。
安防系统建设中面临的安全风险
那么作为物联网的应用，安防系统在建设中面临哪些风险？
在2017年物联网安全研究报告中，就已经发现物联网的设备暴露在互联网之下，普遍存在被攻击、被利用的风险。其中，路由器和安防设备暴露的数量最多。
2019年的物联网安全事件中，主要是三类：漏洞和弱口令、准入控制乏力、应用监管不足。
其中，有一半是漏洞和弱密码造成的。漏洞和弱密码的风险就是很容易被控制，然后设备被利用从而造成信息泄露，或引发DDOS攻击。比如之前英国部分学校的安防系统中，摄像头因为弱密码而被控制了，视频被泄露，引起了所有英国学校学生的恐慌。
除了弱口令和漏洞的风险之外，在整个安防系统建设中，设备的准入控制是缺少的。IT系统比较成熟，所有的控制考虑得比较周全的，也是因为大家对IT系统上的黑客攻击、网络风险的暴露都有认识。但是在安防系统中，大家对这方面的认识还不是很清楚。有个例子，2018年，某地的交警处罚系统被黑客侵入了，造成了非法销分，其实原因就是安防系统没有对设备准入做控制。
另一个风险就是应用监管不足，视频信息被内部人员泄露。无论是安防系统的个人使用者还是主管方，对这方面的意识都比较缺乏。近年来关于隐私泄漏的事件也很多，我看到两个例子，一个是某明星去某个酒店，和朋友约会，被别人从视频系统中拍摄下来，泄露出去了。另一个是在某地一个医院，某个病人整个手术过程的视频信息也是被别人拍摄后泄露，这些事件也引起了相关的法律的一些纠纷。
安防产品自身的可靠性是系统安全的根基
漏洞和弱口令风险说明一个问题：安防产品自身的可靠性是系统安全的根基。如果自身的安全性得不到保障，只是通过外部来防护，很难做到完全的安全。
造成产品本身安全不足的原因主要有两个。
一是组织管理的不足，在设计的时候就没有考虑安全设计，项目实施不规范，没有考虑漏洞发现、修复和响应机制等等。我们看到互联网上有很多的相机被控制了，但是因为设计的原因，或者是没有这个机制，导致很难去修复。
二是技术防范手段不足，存在弱口令，预留后门，或者软件开发本身是不规范的，缺失认证机制、数据明文传输等。
宇视在这方面是有一些经验的，因为我们拿到了CMMI5级的认证，同时我们集成了U-IPD的开发流程，无论是在需求分析、设计、编码、测试等等各方面都考虑到了安全性的需求。
同时我们也希望行业内的企业在软件开发时，一定要重视软件开发的规范性和严谨性，要建立整一套的产品安全开发流程。
在产品和解决方案发布时，一定要考虑到它的整个流程，建立正式安全的发布机制，来保证这个产品必须是经过了正规、严格的测试之后才发布出去的，也必须要通过正规的渠道发布。也就是说产品首先要保证自己是安全可靠的才能对系统做根本支撑。
最后，对于产品发布后，要成立专门的安全应急响应团队和机制，来保证出现问题时能够快速响应。比如今年2月份网上曝光说有黑客对中国互联网上的设备进行攻击，我们公司及时的响应团队去分析，帮助我们的用户避免遭受攻击。
如何从4个层面实现安全的安防解决方案
整个安防系统中有4个层面的风险。分别是感知层、传输层、管理层和应用层。
感知层主要的问题是感知设备有可能被劫持；传输层会受到网络的攻击，比如“私接”网络、DDOS攻击；管理层或者说平台服务层，可能会受到非法入侵，然后被窃取；应用层，可能会受到黑客对PC机或者应用设备的攻击，同时还可能会有一些用户有意无意的信息泄露，比如手机录屏截屏。
1、感知层安全防护
感知层中，摄像机在前端的部署是非常广泛的，数量非常多，而且大部分都在室外，这就要求我们考虑得更多。
在物理接入方面，首先要考虑到设备的防拆设计，因为有些设备可能会被别人替换或窃取。
其次传统的设备一般都有一些调试接口，建议把这些接口屏蔽或隐藏，或者直接去除，不要在物理层面提供这样的调试接口，给非法人员可乘之机。
另外在接入到网络中，除了传统的以太网接入方式之外，我们应用了PON口接入，它是一种光纤接入，主要通过光来进行接入和传输，就很好地防止了电口私接、侦听。
在物理层防护之外，还要考虑整个终端设备的安全。摄像机其实是功能比较弱的一个系统，在这个系统中，我们通过检查它是否存在弱口令、端口信息、协议信息、CPU占用情况等，时时记录并上传到中心服务器，通过和中心运维管控平台的相互配合，及时发现终端设备的安全状态，比如有没有异常流量或者异常端口，然后及时进行联动或者报警来保证终端的正常运行。
在终端还有一个关键的部分，就是视频数据的安全。
很多安防系统或者摄像机系统里的标准协议，国标也好，还是一些厂家自己的协议也好，对视频的保护规定是不足的，完全是以明文状态在网络中传输，这种就很容易被别人截取数据，然后通过一些常用的播放软件播放出来。
我们在这方面提供了视频数据安全保护方案。
一般来讲有两种手段，一种是对数据全部进行加密，不管是信令、还是数据、还是传输协议，经过加解密设备直接进行加密。这个方式有一个弊端，就是必须要成对地配置加解密设备，另外它导致数据很难识别，比如说信令相关的处理其实是很难的，成本也相对比较高。
还有一种方式就是通道加密，其实也还是需要进行成对地配置，因为数据都封装在通道内，导致通用的网络流量分析工具很难做到安全的分析，无法准确的判断实际网络中的真实状态。
宇视采用的是视频加密的方案，好处是可以正常的信令交互，在交互的情况下不影响系统的兼容性，即使视频数据被非法获取，仍然可以保证它是安全的，只有在合法的解码端才可以正常进行观看的。
我们的方案在很多的地方应用了，比如一些高校和企业的园区中都有比较重要的应用，也获得了大家的认可。
2、传输层安全防护
传输层主要给大家分享的是两个方案。
一个是准入方案，信息系统相对比较成熟，但是应用在物联网或安防系统当中，有一个不同的地方，因为终端设备或摄像机设备，其实类似于哑终端，它不像PC机之类的终端设备，可以进行主动地连接，主动地配置密码，所以传统的方式不太合适。
相对于传统的方式，也有一些其他的方案应用到准入中来。比如扫描检测方案，需要通过人工配合，首先扫描到这些设备，然后通过人工来判定合法性与非法性。当然这是解决了一部分的问题，但是它的效率包括整体的安全性相对比较弱。
进一步有一些基于防火墙的方案，可以基于设备的黑白名单来进行防护，也可以配置一定的过滤规则，比如像IP、MAC特征库的检测，这样也可以做到一些安全的防护。
物联网的安全准入方案除了做到了防火墙方案中对IP、MAC及端口绑定之外，还做到应用的感知，可以识别安防的接入协议，可以感知设备的状态，可以跟前面讲的检测异常等信息相配合，这样就可以实时防控。同时支持旁挂、串接，防护的手段更加丰富。在网络接入情况下，我们采用的这种准入方案是比较适合安防系统的一种方案。
在跨互联网或广域网接入中，宇视推出了UNP方案，主要解决跨互联网企业跨公网的安防接入要求。
跨互联网或广域网接入主要是保证传输的安全性，另外还要保证对整体的网络、系统和结构尽量适合，不做大的改动。
针对这种情况，行业里也有几种方案。VPN方案，可以做到安全传输，但是它有一个问题，就是当系统是已经建好的，就可能涉及到IP地址冲突或系统的改造，要提前做一些规划，灵活度比较低。
还有一种方案是ALG网关，通过转换协议，把相关的信令通过转换来进行传输。这种方案的现网兼容性差，同时因为它是简单的消息数据修改，它的信令，包括数据，大部分是明文传输，安全性也很差。
宇视的UNP方案同时满足了方便部署、安全性高和视频跨网设计的需求。我们针对安防系统里的协议做了适配，保证了一定的安全性。这个方案获得了中国的专利优秀奖。我们所有的方案都是经过了实践，真正能解决用户的问题。我们在某品牌汽车4S店应用已经很成熟。目前，在全国有很多的项目在应用。
3、管理平台安全防护
建议在中心层也是要做到一定的安全防护。重点是防止非法侵入平台主机和云存储，防止窃取、篡改、删除其中的视频数据。
在传统安全防护层面，仍然推荐采用防火墙、入侵检测、漏洞扫描、大数据审计等专用防护设备组合进行外部的安全检测，这些设备也要根据防护的需求做相应的配备来对整个中心服务区做安全的防护。
安防系统建设中的服务主机也要做安全措施。可以采用多维防护手段，包括弱密码防护、设备可疑进程检测和预警、要有安全的登录方式，比如采取SSH和HTTPS等方式，以及恶意扫描阻止策略等都需要考虑。
在传统防护和主机防护之外 ，从整个方案层面也需要进行考虑。
在主机层我们实现了多机的备份，像双机或一对多备份的快速切换，保证了应用服务的安全。
在数据存储方面，使用了安全块存储，这是宇视的创新。它是基于视频流/块的存储技术，因为它的关键信息是独立存放的，即使获取到硬盘也无法直接拷贝出数据。
在存储方面，我们可以多级备份、多阵列存储等，另外支持流量中断的及时备份，这些都是我们给用户提供的系统级的数据存储安全方案。
4、用户管理安全
在对服务防护的同时，我们看到其实很多重要的信息是在用户侧被泄露出去的。针对这种情况，我们建议对用户做一个安全管理，可以分为事前、事、中和、事后三个部分。
事前防御阶段，在用户终端接入防护系统之前做准入判断，比如用户是否合法、相关配置是否完成、是否存在高风险漏洞。在所有的安全合规检查与配置，账户检查、安全设置规范检查等都完成以后，判定它是一个可以介入系统的终端，才能开始应用层面。
事中控制阶段，我们需要定义授权范围，即对用户的一些行为或操作做授权或者管控。比如我要定义用户能做哪些方面的操作、是否存在非法外联的行为、有没有移动硬盘的接入、是否存在录屏、截屏、拍摄操作、是否有外接USB等这些操作进行集中控制，防止信息被泄露。
事后审计阶段，我们会对所有操作做日志审计，包括上网行为，对非授权外联、视频的存储、下载和其他操作、文件读写操作、即时通讯、邮件内容、文档操作等行为进行审计，然后进行溯源。从而在整个用户管理层做到防御、管控、溯源。
总体来讲，我们对于安防系统的建设是从终端、传输到服务平台到用户，做一个全方位的安全防护措施。
最后想和大家分享一个观点，新技术的发展，包括5G传输、人工智能、大数据，区块链和量子计算等等新技术的相互融合，会促进安全系统在安防系统中的应用。
建设安全的安防解决方案，构建全方位立体防护体系，要对业务和应用具有深刻的理解，同时运用各种前沿技术不断完善自己的网络安全防御体系。
[出处]四大层面，复盘宇视安防系统防护实践方法论. 雷锋网, 2020-04-13
浙公网安备
33010802004032号
